Questi domini si possono falsificare? Abbiamo controllato SPF e DMARC di 102 domini noti, e solo metà delle banche rifiuta le mail false

La maggior parte delle mail di phishing non ha bisogno di un server violato: basta un mittente che sembri vero. Se una mail falsa con @latuabanca.it nel mittente viene consegnata dipende in gran parte da un record DNS: la policy DMARC del dominio. Ho letto SPF, DMARC e MTA-STS di 102 domini noti dal DNS pubblico. Il risultato completo è una heatmap ordinabile nella classifica e-mail.

I numeri

• SPF: 100 domini su 102 lo pubblicano. 62 terminano con -all, cioè chiedono di rifiutare gli altri server.
• DMARC con p=reject: 59 su 102. La posta falsificata a loro nome viene rifiutata.
• p=quarantine: 16. I falsi finiscono nello spam, meglio di niente.
• p=none: 21. DMARC raccoglie solo report, la policy non blocca i falsi.
• Nessun DMARC: 6, tra cui tim.it, europa.eu, gov.it e faz.net.
• MTA-STS (TLS obbligatorio per la posta in arrivo): solo 10.

Banche: solo metà rifiuta

Le banche sono i mittenti più imitati nel phishing, quindi me le aspettavo in cima. Su 22 banche e servizi di pagamento, 11 usano p=reject. Diversi grandi nomi in Germania e in Italia osservano soltanto con p=none, per esempio poste.it, mps.it, sparkasse.de e dkb.de, e due non hanno un record DMARC sul dominio principale.

Per correttezza: le banche spesso inviano le mail ai clienti da domini separati, e i grandi provider di posta filtrano i falsi anche con altri segnali. Una policy di rifiuto mancante non significa che i clienti siano senza protezione, solo che il dominio non chiede ai destinatari di rifiutare i falsi.

Germania e Italia

In Germania rifiutano i falsi 20 domini su 40, in Italia 13 su 30. Molte grandi testate italiane e agid.gov.it sono ancora a p=none.

Perché p=none è così diffuso

p=none è pensato come primo passo: raccogliere i report, trovare ogni mittente legittimo (newsletter, CRM, ticketing), sistemare SPF e DKIM per loro, poi passare a quarantine e reject. Molte organizzazioni si fermano al primo passo perché reject sembra rischioso. I report (rua) di solito ci sono già: 92 domini su 102 li raccolgono.

Come arrivare a reject

1. Pubblica DMARC con p=none e un indirizzo rua, e leggi i report per due-quattro settimane.
2. Fai passare ogni mittente legittimo con SPF o DKIM allineati al tuo dominio.
3. Passa a p=quarantine, se serve prima con pct= su una parte della posta.
4. Quando i report sono puliti, imposta p=reject.

Il generatore DMARC scrive il record, il controllo DNS mail mostra cosa pubblica oggi il tuo dominio. Se SPF si rompe sul limite di 10 lookup, il controllo SPF mostra dove.

Metodo

Solo interrogazioni DNS TXT pubbliche, ai domini non è stato inviato nulla. Per i sottodomini si è misurato il dominio dell'organizzazione. DKIM è escluso, perché senza il selettore non si può verificare dall'esterno. Punti: SPF 20, SPF con -all 15 (~all 8), DMARC 20, p=reject 30 (quarantine 20), report 5, MTA-STS 10. La classifica viene rimisurata ogni settimana, quindi i numeri possono cambiare. Aggiornata al 6 novembre 2026.